حماية البيانات في العمل: ماذا يحدث للمعلومات بعد جمعها؟

يرسل مرشح سيرته الذاتية لوظيفة معلنة، فتصل إلى المدير وتُنسخ في مجلد توظيف وتبقى بعد شغل الوظيفة. وبعد أشهر، يريد شخص استخدام بيانات الاتصال لحملة لا علاقة لها بالترشيح.

لم يقع اختراق كبير، لكن المعلومات انتقلت من غرض إلى آخر. لهذا تتجاوز حماية البيانات كلمات المرور والهجمات الإلكترونية؛ فهي تتعلق بما تعرفه المنشأة عن الناس وما يحق لها فعله بهذه المعرفة.

قانون حماية البيانات الشخصية الاتحادي، المعروف بـPDPL، هو المرسوم بقانون رقم 45 لسنة 2021. يتضمن نطاقه استثناءات، وقد تخضع قطاعات ومناطق مالية حرة لأنظمة مستقلة. البداية هي تحديد النظام المنطبق على المنشأة والمعالجة، لا افتراض أن سياسة واحدة تناسب كل مكان.

ما الذي يجعل البيانات شخصية؟

الاسم مثال واضح، لكن التعرف قد يكون غير مباشر. فقد يكشف الجمع بين المسمى الوظيفي وموقع العمل وتفاصيل نزاع عن موظف محدد دون ذكر اسمه.

لذلك لا يعني حذف السطر الأول من الملف إخفاء هوية صاحبه بالضرورة. إذا ظلت التفاصيل تشير إليه، فقد بقيت مسألة حماية البيانات قائمة.

توجد هذه المعلومات في التوظيف والرواتب والدخول إلى الموقع وخدمة العملاء والتسويق. بعضها ضروري للعلاقة، وبعضها يتراكم لأن نسخ الملف أسهل من تحديد من يحتاج إليه.

هل السماح بالجمع يعني السماح بكل استخدام؟

ينظم القانون الموافقة والحالات المحددة للمعالجة دونها. السؤال هو أساس المعالجة لغرض معين، لا مجرد وجود توقيع عام في الملف.

قد يحتاج صاحب العمل إلى بيانات لإدارة التوظيف أو الوفاء بالتزام منطبق. أما نشر صورة الموظف في إعلان عام فهو استخدام مختلف. جمعهما تحت عبارة «أنت أعطيتنا بياناتك» يتجاهل هذا الفرق.

وفي حالة السيرة الذاتية، ينبغي فهم سبب الاحتفاظ ومدته ومدى مناسبة الاستخدام اللاحق للأساس القانوني والمعلومات المقدمة للمرشح. لا يصح أن يتحدد الاحتفاظ مصادفة لأن أحداً لم يراجع المجلد.

لماذا تهم الصلاحيات داخل الشركة؟

قد لا تخرج البيانات من المنشأة، لكنها تصبح متاحة لعدد أكبر مما يلزم. يحتاج مدير إلى معلومات تنظيم الدوام، لا بالضرورة إلى تفاصيل ملف طبي. وتحتاج الرواتب إلى بيانات بنكية لا يحتاجها زملاء ينظمون فعالية.

تحديد الوصول قرار يتعلق بالأدوار والأغراض، وليس إعداداً تقنياً فقط. وعندما ينتقل الموظف أو يغادر، قد تنفصل صلاحياته القديمة عن أي مسؤولية قائمة.

وينطبق ذلك على المشاركة. فقد تظهر أسماء عملاء على شاشات في خلفية صورة فريق. ليس الشخص المقصود بالتصوير هو الوحيد الذي تُكشف معلوماته.

ماذا يتغير عند استخدام مورد؟

يمكن لشركة رواتب أو خدمة سحابية أو أداة ذكاء اصطناعي أن تستلم المعلومات أو تصل إليها. تحتاج المنشأة إلى فهم عمل المورد والمخولين ومكان المعالجة وتوزيع المسؤوليات.

لا يجيب اسم معروف أو اشتراك مدفوع عن كل هذه الأسئلة. كما تحتاج المعالجة أو إمكانية الوصول من الخارج إلى مراجعة قواعد النقل المنطبقة.

وقد يُغفل ذلك عند إضافة ميزة إلى برنامج مستخدم أصلاً. يشرح مقال الذكاء الاصطناعي في العمل الفرق بين طلب صياغة عامة ورفع ملف حالة حقيقية.

كيف تبدو الاستجابة العملية؟

قد يسأل شخص عن معلوماته أو يطلب التصحيح أو المحو أو حقاً آخر منطبقاً. يحتاج الطلب إلى مسؤول يقيّمه. ولا يكون الحذف الآلي مناسباً دائماً إذا وُجد التزام مشروع بالاحتفاظ.

وتحتاج الأخطاء إلى مسار واضح أيضاً. ينبغي أن يصل خبر مرفق أُرسل خطأ إلى الفريق المعني سريعاً، مع وقائع تسمح بتقييم الضرر والاحتواء والإخطار. لا تحل مهلة مأخوذة من قانون أجنبي محل التحقق من الواجب المنطبق.

تفيد التوعية بحماية البيانات حين تجعل الموظف يلاحظ هذه المواقف اليومية. الهدف ليس منع استخدام المعلومات، بل أن يظل الاستخدام مفهوماً ومبرراً ومنضبطاً من الجمع إلى الحذف.